Was kostet IT-Ausfall im Mittelstand?

Wenn Server, E-Mail, Warenwirtschaft oder Telefonie auch nur für wenige Stunden ausfallen, stellt sich schnell die Frage: Was kostet IT-Ausfall tatsächlich? Für viele mittelständische Unternehmen liegt das Problem nicht nur in entgangenem Umsatz. Häufig deutlich teurer sind stillstehende Prozesse, unproduktive Mitarbeitende, verpasste Liefertermine, Vertragsstrafen und der Vertrauensverlust bei Kunden.

Gerade im Mittelstand wird die Ausfallkosten-Frage oft unterschätzt, weil sie nicht als einzelne Position in der BWA auftaucht. Der Schaden verteilt sich über viele Bereiche. Produktion wartet auf Daten, der Vertrieb kommt nicht an Angebote, die Buchhaltung nicht an Belege, und die Geschäftsführung muss in kurzer Zeit operative Entscheidungen ohne verlässliche Informationen treffen. Ein IT-Ausfall ist deshalb kein Technikproblem. Er ist ein betriebswirtschaftliches Risiko.

Was kostet IT-Ausfall pro Stunde?

Eine pauschale Zahl gibt es nicht. Was kostet IT-Ausfall pro Stunde, hängt stark von Branche, Digitalisierungsgrad und interner Organisation ab. Ein Handelsunternehmen mit hohem E-Mail- und ERP-Anteil rechnet anders als ein Fertigungsbetrieb mit vernetzter Produktion oder ein Dienstleister, dessen gesamte Leistung über IT-Systeme gesteuert wird.

Es gibt allerdings belastbare Orientierungswerte. Das BSI weist seit Jahren darauf hin, dass Cybervorfälle und Systemausfälle für Unternehmen erhebliche wirtschaftliche Schäden verursachen. Auch ENISA beschreibt in ihren Analysen zu Ransomware und Betriebsausfällen regelmäßig, dass nicht nur die Wiederherstellungskosten relevant sind, sondern vor allem die Unterbrechung kritischer Geschäftsprozesse. Für Deutschland hat der Branchenverband Bitkom wiederholt Schäden in Milliardenhöhe durch Cyberangriffe, Spionage und Sabotage dokumentiert. Diese Gesamtschäden zeigen vor allem eines: Ausfallzeiten sind kein Randthema mehr.

Im Mittelstand sehen wir in der Praxis oft eine einfache Rechnung. Wenn 40 Mitarbeitende im Schnitt 45 Euro Vollkosten pro Stunde verursachen und bei einem Ausfall nur eingeschränkt arbeiten können, liegen die reinen Personalkosten bereits bei 1.800 Euro pro Stunde. Kommen Produktionsstillstand, nicht versendete Aufträge oder SLA-Verstöße hinzu, steigt der Betrag schnell auf 5.000 bis 20.000 Euro pro Stunde. In stark digitalisierten Betrieben kann es noch deutlich mehr sein.

Die versteckten Kosten werden oft vergessen

Viele Unternehmen rechnen zunächst nur mit dem direkten Umsatzausfall. Das greift zu kurz. Die tatsächlichen Kosten eines IT-Ausfalls setzen sich fast immer aus mehreren Blöcken zusammen.

Da sind zuerst die Personalkosten. Mitarbeitende sind anwesend, können aber nicht oder nur teilweise arbeiten. Danach folgen Prozesskosten: Aufträge bleiben liegen, Bestände sind nicht sichtbar, Rechnungen werden verspätet gestellt, Serviceanfragen nicht bearbeitet. Hinzu kommen Wiederanlaufkosten. Systeme müssen geprüft, Datenbestände validiert und manuelle Zwischenlösungen bereinigt werden.

Besonders kritisch wird es, wenn Compliance und Datenschutz berührt sind. Fällt nicht nur ein System aus, sondern sind personenbezogene Daten betroffen, kommen Melde- und Dokumentationspflichten nach DSGVO hinzu. Dann geht es nicht mehr nur um Verfügbarkeit, sondern auch um Integrität und Vertraulichkeit. Der organisatorische Aufwand in solchen Fällen wird intern häufig unterschätzt.

Schließlich gibt es den Schaden, den keine Kostenstelle sauber erfasst: verlorenes Vertrauen. Kunden merken sehr schnell, wenn Erreichbarkeit, Lieferfähigkeit oder Reaktionszeiten wegbrechen. Ein einzelner Vorfall muss nicht sofort zu Kündigungen führen. Wiederholt sich das Muster, wird daraus ein messbares Vertriebsproblem.

Ein einfaches Rechenmodell für den Mittelstand

Wer wissen will, was kostet IT-Ausfall im eigenen Unternehmen, braucht keine komplizierte Formel. Ein realistisches Modell reicht oft aus, um die Größenordnung zu erkennen.

Erstens: Wie viele Mitarbeitende sind bei einem Ausfall direkt betroffen? Zweitens: Welche Vollkosten pro Stunde fallen pro Person an? Drittens: Wie hoch ist der durchschnittliche Umsatz oder Deckungsbeitrag, der pro Stunde gefährdet ist? Viertens: Welche Zusatzkosten entstehen durch Wiederherstellung, externe Dienstleister, Expressprozesse oder Vertragsfolgen?

Ein Beispiel aus der Praxis: Ein mittelständischer Großhändler mit 55 Beschäftigten arbeitet zentral mit ERP, E-Mail, IP-Telefonie und digitaler Lagerverwaltung. Nach einem Sicherheitsvorfall war das System an einem Montagvormittag für knapp sechs Stunden nur eingeschränkt nutzbar. 38 Mitarbeitende konnten in dieser Zeit nicht regulär arbeiten. Bei kalkulatorischen Personalkosten von 42 Euro pro Stunde ergaben sich rund 9.576 Euro Leerlaufkosten. Dazu kamen verschobene Auslieferungen, manuelle Nachbearbeitung im Lager und externer Aufwand zur Systemprüfung. Der Gesamtschaden lag am Ende bei rund 27.000 Euro – ohne langfristige Reputationsfolgen.

Genau an diesem Punkt zeigt sich der Unterschied zwischen Techniksicht und Geschäftssicht. Die IT war nicht sechs Stunden komplett weg. Aus betrieblicher Sicht war der Schaden trotzdem erheblich, weil zentrale Prozesse nicht stabil liefen.

Warum Cyberangriffe Ausfälle so teuer machen

Nicht jeder IT-Ausfall entsteht durch einen Angriff. Stromprobleme, Hardwaredefekte, Fehlkonfigurationen oder fehlgeschlagene Updates kommen ebenfalls vor. Teuer werden Ausfälle aber besonders dann, wenn Sicherheitslücken die Ursache sind. Denn dann endet der Vorfall selten mit einem Neustart.

Ransomware ist das deutlichste Beispiel. Laut BSI gehören Erpressungsangriffe weiterhin zu den größten Bedrohungen für Unternehmen. Fällt dabei nicht nur ein Server aus, sondern werden Daten verschlüsselt oder Backups unbrauchbar, verlängert sich die Unterbrechung massiv. Aus Stunden werden Tage. Aus einem Betriebsproblem wird ein Krisenfall.

Hinzu kommt ein zweiter Effekt: Unternehmen ohne saubere Netzwerksegmentierung, ohne Monitoring und ohne getestete Backup-Wiederherstellung wissen oft zunächst nicht, wie weit der Vorfall reicht. Diese Unsicherheit kostet Zeit. Und Zeit ist bei Ausfällen der teuerste Faktor.

Was DSGVO und BSI für die Bewertung bedeuten

Für Geschäftsführer und Verantwortliche ist entscheidend, dass IT-Ausfälle nicht nur operative Folgen haben. Sie berühren auch Pflichten. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen, damit Verfügbarkeit, Integrität und Vertraulichkeit personenbezogener Daten sichergestellt sind. Das ist kein Nebensatz, sondern ein zentraler Maßstab.

Wenn Unternehmen keine belastbare Backup-Strategie, kein Rechtekonzept oder keine nachvollziehbare Überwachung haben, steigt nicht nur das Ausfallrisiko. Es entsteht auch ein Haftungs- und Prüfungsrisiko. BSI-Empfehlungen und anerkannte Sicherheitsstandards helfen hier nicht als Bürokratie, sondern als wirtschaftlich sinnvolle Leitplanke. Wer dokumentiert vorsorgt, reduziert Schaden, Reaktionszeit und Abstimmungschaos im Ernstfall.

Was mittelständische Unternehmen in der Praxis übersehen

In Sicherheitsanalysen zeigt sich immer wieder ein ähnliches Bild. Die größte Gefahr ist selten der spektakuläre Hackerangriff von außen. Häufig sind es stille Schwächen im laufenden Betrieb: unklare Administratorrechte, veraltete Firewall-Regeln, fehlende Alarmierung, Backups ohne regelmäßigen Restore-Test oder Datenverarbeitung in Strukturen, die intern kaum jemand noch sauber erklären kann.

Ein Fall aus dem Mittelstand: Ein Unternehmen mit mehreren Standorten hatte ein Backup-System, das laut Oberfläche fehlerfrei lief. Erst nach einem Teil-Ausfall stellte sich heraus, dass zentrale Datenbestände seit Tagen nicht konsistent gesichert worden waren. Der operative Stillstand dauerte nur wenige Stunden. Die vollständige Bereinigung und Nacharbeit zog sich jedoch über fast zwei Wochen. Der größte Schaden entstand nicht durch den eigentlichen Vorfall, sondern durch fehlende Transparenz im Vorfeld.

Genau deshalb reicht es nicht, nur in einzelne Produkte zu investieren. Endpoint Protection, Firewall, Backup und Monitoring wirken wirtschaftlich erst dann zusammen, wenn Verantwortlichkeiten klar, Warnungen nachvollziehbar und Wiederherstellungswege getestet sind.

Was kostet Vorsorge im Vergleich zum Ausfall?

Diese Frage ist für Entscheider meist die richtige. Nicht jede Schutzmaßnahme muss maximal ausgebaut sein. Aber fast jedes Unternehmen profitiert von einem Grundniveau an Sicherheit und Ausfallschutz, das deutlich günstiger ist als ein einziger ernster Vorfall.

Eine strukturierte Sicherheitsanalyse kostet im Verhältnis zu den möglichen Ausfallkosten wenig. Gleiches gilt für laufend betreute Maßnahmen wie Managed Firewall, Endpoint Protection, Monitoring und Managed Backup. Entscheidend ist dabei weniger das einzelne Werkzeug als die Qualität der Betreuung. Wer nur Software einkauft, aber keine klare Verantwortlichkeit für Überwachung, Reaktion und Dokumentation hat, spart oft am falschen Ende.

Für mittelständische Unternehmen ist außerdem relevant, wo Daten verarbeitet werden und wie transparent der Anbieter arbeitet. Wenn Sicherheitsleistungen DSGVO-konform, nachvollziehbar und nach deutschen Standards erbracht werden, sinkt nicht nur das Risiko technischer Ausfälle. Auch die rechtliche und organisatorische Steuerbarkeit verbessert sich. Das ist im Ernstfall mehr wert als eine vermeintlich günstige Blackbox-Lösung.

Wie Sie Ihre eigenen Ausfallkosten realistisch einschätzen

Wenn Sie die Frage was kostet IT-Ausfall belastbar beantworten wollen, beginnen Sie nicht mit Technik, sondern mit Ihren Kernprozessen. Welche Systeme müssen laufen, damit Vertrieb, Auftragsabwicklung, Produktion, Buchhaltung und Kundenservice arbeitsfähig bleiben? Wie lange können diese Prozesse ohne IT sinnvoll überbrückt werden? Und was kostet jede Stunde, in der das nicht gelingt?

Danach lohnt der nüchterne Blick auf drei Punkte: Erkennen Sie Störungen früh genug, können Sie Systeme zuverlässig wiederherstellen, und wissen Sie, wer im Ernstfall welche Entscheidung trifft? Wo diese drei Fragen nicht sicher beantwortet werden können, liegt fast immer wirtschaftliches Risiko.

Eine gute Sicherheitsanalyse schafft hier Klarheit. Nicht abstrakt, sondern bezogen auf Ihre Infrastruktur, Ihre Datenflüsse und Ihre betrieblichen Abhängigkeiten. Genau das ist der Punkt, an dem sich Prävention rechnet: nicht als Zusatzaufwand, sondern als Schutz von Betriebsfähigkeit, Kundenvertrauen und unternehmerischer Handlungsfähigkeit.

Wer IT-Ausfälle nur als technische Störung betrachtet, rechnet zu klein. Wer sie als geschäftskritisches Risiko versteht, trifft bessere Entscheidungen – meist lange bevor der erste Server stillsteht.